Πώς να επαναφέρετε με ασφάλεια τη διαμόρφωση ενός διακομιστή VPN

Η επαναφορά ενός διακομιστή είναι απόφαση για το ποιο επίπεδο απέτυχε, όχι άσκηση αντιγραφής αρχείων. Η διαμόρφωση, τα διαπιστευτήρια και οι εκδόσεις πακέτων κινούνται σε διαφορετικά ρολόγια, και η επαναφορά του ενός ενώ τα άλλα μένουν ενημερωμένα παράγει έναν ξενιστή που φαίνεται υγιής και συμπεριφέρεται ασυνεπώς. Η παρακάτω σειρά προϋποθέτει ότι μια αλλαγή έχει ήδη πάει στραβά και σας ζητά να επαναφέρετε τη μικρότερη συνεκτική κατάσταση. Δουλέψτε τη με τη σειρά και θεωρήστε τον έλεγχο πρόσβασης εκτός ζώνης το βήμα που δεν πρέπει να παραλείψει κανείς.

Καταγράψτε ένα σημείο ελέγχου που μπορείτε πραγματικά να επαναφέρετε

Καταγράψτε τη διαμόρφωση που διαβάζει η υπηρεσία κατά την εκκίνηση, μαζί με την έκδοση που την ανέλυσε τελευταία. Ένα αρχείο που φορτωνόταν καθαρά σε παλαιότερη έκδοση μπορεί να απορριφθεί ή να αγνοηθεί σιωπηλά μετά από αναβάθμιση, οπότε η έκδοση ανήκει στην ίδια σημείωση. Συμπεριλάβετε το υλικό στο οποίο δείχνει η διαμόρφωση: ιδιωτικά κλειδιά, διαδρομές πιστοποιητικών, ορισμούς ακροατών και τις εγγραφές DNS και τείχους προστασίας που κάνουν την υπηρεσία προσβάσιμη. Αν μια επαναφορά χρειαζόταν αρχείο που δεν αποθηκεύσατε, το σημείο ελέγχου είναι ελλιπές.

Ονομάστε τον ιδιοκτήτη κάθε ρύθμισης όσο το σύστημα είναι ακόμη υγιές. Μια διαδρομή που εγκαθιστά ο πίνακας του παρόχου, μία που προσθέτει το τείχος προστασίας του ξενιστή και μία που ωθείται στους πελάτες είναι τρία διαφορετικά αντικείμενα, και η επαναφορά του λάθος αφήνει τα άλλα δύο στη θέση τους. Ένας σύντομος πίνακας με ρύθμιση, ιδιοκτήτη και διαδρομή αρχείου αρκεί.

Κρατήστε τις ανακλήσεις χωριστά από τη διαμόρφωση

Μια παλιά διαμόρφωση μπορεί να επανασυνδέσει ήσυχα μια συσκευή που αφαιρέσατε σκόπιμα, γεγονός που μετατρέπει μια ανάκτηση σε οπισθοδρόμηση ασφαλείας. Διατηρήστε την τρέχουσα λίστα ανακλήσεων και τους απενεργοποιημένους λογαριασμούς όσο επαναφέρετε την πολιτική δικτύου και εφαρμόστε τα ξανά πριν η υπηρεσία δεχτεί πελάτες.

Αντιμετωπίστε την κατάσταση ταυτότητας ως δική της επαναφορά με δικά της στοιχεία. Τα αρχεία ανάκλησης πιστοποιητικών, η απενεργοποίηση λογαριασμών και η εγγραφή MFA σπάνια βρίσκονται στο ίδιο σημείο με τη διαμόρφωση του δαίμονα, και μια επαναφορά διαμόρφωσης δεν θα τα αγγίξει. Ελέγξτε πρώτα την τρέχουσα κατάσταση για να ξέρετε τι πρέπει να επιβιώσει. Μετά την επαναφορά, επιβεβαιώστε ότι η ταυτότητα που αφαιρέθηκε εξακολουθεί να μην μπορεί να συνδεθεί.

Φτάστε στον ξενιστή όταν αποτυγχάνει η σήραγγα

Ανοίξτε μια διαδρομή προς το μηχάνημα που δεν εξαρτάται από το στοιχείο που αλλάζει. Μια κονσόλα εποπτικού λογισμικού, μια διεύθυνση διαχείρισης σε ξεχωριστή διεπαφή ή μια σειριακή κονσόλα όλες αρκούν· μια συνεδρία SSH που μεταφέρεται μέσα από τη σήραγγα όχι. Αν ο μόνος τρόπος εισόδου είναι το VPN που πρόκειται να επανεκκινήσετε, μια κακή διαδρομή ή κανόνας τείχους προστασίας σας αφαιρεί τη δυνατότητα να το διορθώσετε. Δοκιμάστε την εναλλακτική διαδρομή πριν την αλλαγή, όχι μετά. Συνδεθείτε μία φορά μέσω αυτής, επιβεβαιώστε ότι το sudo λειτουργεί και σημειώστε την ακριβή διεύθυνση που χρησιμοποιήσατε.

Η δοκιμή είναι απλή: κατεβάστε τη σήραγγα ενώ είστε συνδεδεμένοι μέσω της εναλλακτικής διαδρομής και δείτε αν η συνεδρία επιβιώνει. Αν πέσει, βρήκατε την αστοχία πριν μπορέσει να σας εγκλωβίσει.

Εφαρμόστε μία αναθεώρηση και μάθετε πότε τίθεται σε ισχύ

Χρησιμοποιήστε την τεκμηρίωση της υπηρεσίας για reload ή restart και μάθετε ποιες οδηγίες διαβάζονται σε ποια στιγμή. Ορισμένες τιμές ισχύουν στο reload, άλλες μόνο όταν ξεκινά νέα συνεδρία ή διεργασία, οπότε η επεξεργασία ενός αρχείου δεν αποδεικνύει τίποτα για την τρέχουσα κατάσταση. Επαναφέρετε μία αναθεώρηση αντί να αναμειγνύετε ένα νέο αρχείο με παλιά κατάσταση εκτέλεσης. Σε αμφιβολία, μια πλήρης επανεκκίνηση της υπηρεσίας είναι ευκολότερο να αιτιολογηθεί από ένα μερικό reload.

Ελέγξτε τον ορισμό της μονάδας πριν επιλέξετε: systemctl show -p ExecReload openvpn@server σας λέει αν υπάρχει καθόλου άγκιστρο reload. Στη συνέχεια εφαρμόστε την αναθεώρηση και διαβάστε το ημερολόγιο για τα πρώτα νέα σφάλματα πριν αλλάξετε οτιδήποτε άλλο.

Επαληθεύστε, καταγράψτε και ερευνήστε μετά

Συνδέστε έναν εξουσιοδοτημένο πελάτη και δοκιμάστε για τι χρησιμεύει η υπηρεσία: επίλυση ονομάτων, επανασύνδεση και η εφαρμογή που απέτυχε. Επιβεβαιώστε ότι η ανακληθείσα ταυτότητα εξακολουθεί να απορρίπτεται. Καταγράψτε την αναθεώρηση που επαναφέρατε, την ώρα και τον λόγο, γιατί ο επόμενος χειριστής θα χρειαστεί και τα τρία. Μια επαναφορά που κανείς δεν τεκμηρίωσε γίνεται μυστήριο την επόμενη φορά που η υπηρεσία θα συμπεριφερθεί άσχημα.

systemctl status openvpn@server --no-pager
journalctl -u openvpn@server -n 50 --no-pager

Μόλις η υπηρεσία σταθεροποιηθεί, αναπαράγετε την αποτυχημένη αλλαγή σε ξενιστή ή στιγμιότυπο που μπορείτε να πετάξετε. Αυτό διαχωρίζει μια κακή διαμόρφωση από ένα κακό πακέτο ή ένα ληγμένο πιστοποιητικό. Κρατήστε τη διαμόρφωση που επαναφέρατε υπό έλεγχο εκδόσεων ώστε το επόμενο σημείο ελέγχου να ξεκινά από γνωστή υποβολή. Το νόημα της άσκησης είναι ένα τεκμηριωμένο τελικό σημείο, όχι μια μόνιμη υποβάθμιση.